Les identités numériques dans un monde connecté Digicloud 2016 – Marrakech Ouadie TALHANI Consultant Senior Sécurité Tél.: OPENTRUST devient IDnomic

2 Les Mots de Passe Les enjeux d’un monde numérique Une identité numérique “unique” Comment se protéger ? La cryptographie asymétrique SOMMAIRE

3 Les enjeux d’un monde numérique Développement des Services en ligne Besoin d’identité numérique fiable Mettre en place un système de Gestion des identités

4 Les enjeux d’un monde numérique

5 La sécurité : une démarche d’entreprise Une approche « risques »: adapter la sécurité en fonction des usages, des informations vitales et des identités, des systèmes. La sécurité périmétrique ne suffit plus Protéger l’information mais aussi les identités Comment se protéger ? Individus Procédures Technologie Sécurité

6 Entreprises Etats Financier: Perte de CA, perte d’avantage concurrentiel Juridique: Amendes, non respect de réglementation sectorielle, non respect de la loi informatique & liberté Perte d’image: Réputation, confiance des clients Stratégique (une problématique de défense et sécurité nationale) Diplomatique Economique Militaire Les Enjeux de la cybersécurité

7 Dans le monde physique, les échanges sont réalisés entre individus ou entités et des règles de contrôle des échanges ont été mises en place. L'émergence du monde dématérialisé introduit une conception nouvelle dans les échanges entre entités. Monde Physique vs Numérique

Les bonnes pratiques de sécurité dans le Cloud Sécurité périmétrique (Firewall, IDS, IPS) Serveur d’Authentification Solution de chiffrement et signature électronique Système d’Authentification forte Système de gestion de preuve

Intégrez la sécurité dans les choix stratégiques Choix d’un fournisseur de confiance Analyse fine et approfondie des pratiques de sécurité 9 Les bonnes pratiques dans le Cloud ?

10 Quels sont les risques ? Multiplication des identifiants 91% des mots de passe piratés en quelques secondes Coût d’un Vol € / utilisateur* Climat de méfiance * : Source Internet

Nous avons tous une 10aine de mots de passe Les spécialistes de la sécurité nous recommandent d’utiliser des mots de passe complexes, de les changer régulièrement, d’utiliser des mots de passe différents pour chaque usage… 11 De trop nombreux mot de passes

Le mot de passe reste une solution d’authentification faible facilement « craquable » Il arrive d’avoir le même mot de passe pour plusieurs applications Techniques de plus en plus sophistiquées Outils de récupération de mots de passe Phishing Listes de mots de passe volées depuis un serveur web Les mots de passe peuvent être récupérés et rejoués 12 Des mots de passe facilement piratables

13 "Sorry, your password has been in use for 30 days and has expired - you must register a new one." "New password:" roses "Sorry, too few characters." pretty roses "Sorry, you must use at least one numerical character." 1 pretty rose "Sorry, you cannot use blank spaces." 1prettyrose "Sorry, you must use at least 10 different characters." 1fuckingprettyrose "Sorry, you must use at least one upper case character." 1FUCKINGprettyrose "Sorry, you cannot use more than one upper case character consecutively." 1FuckingPrettyRose "Sorry, you must use no fewer than 20 total characters." 1FuckingPrettyRoseShovedUpYourAssIfYouDon'tGiveMeAccessRightFuckingNow! "Sorry, you cannot use punctuation." 1FuckingPrettyRoseShovedUpYourAssIfYouDontGiveMeAccessRightFuckingNow "Sorry, that password is already in use." Une Gestion compliquée des mots de passe

14 Pas très Sécurisé

15 Les protections à mettre en place

16 Signature du sujet Numéro de série Sujet Date d’émission Date d’expiration Signature de la préfecture Le Certificat Eléctronique 1/4

17 Sujet Signature de l’AC Date d’activation Date d’expiration Le Certificat Eléctronique 2/4

18 Le certificat simplifie l'échange des clés publiques. Le Certificat Eléctronique 3/4 La clé privée est détenue uniquement par le porteur La clé publique a pour vocation d'être transmise 18 Dans la pratique : La clé privée sert à effectuer une action cryptographique (ex : s’authentifier), La clé publique sert à vérifier cette même action (ex : Vérifier l’authentification).

19 Certificat d'authentification Ex. Accès au poste de travail Ex. Accès à une application en ligne Certificat de signature Ex. Ex. Fichiers Certificat de chiffrement Ex. Ex. Fichiers Le Certificat Electronique 4/4

20 En Conclusion Authentification Intégrité Non- répudiation Contrôle d'accès

175 rue Jean Jacques Rousseau Issy-les-Moulineaux Cedex France +33 (0)